攻撃後、プロトコルは Bonzo Lend を一時停止しました。ポイントプログラムも停止されましたが、Bonzo のボルト、ブリッジ、ステーキング製品は影響を受けませんでした。Hedera は X で、このインシデントはサードパーティのオラクル検証ツールに限定されており、ネットワークのコアインフラストラクチャの欠陥は含まれていないと述べました。

レポートによると、攻撃者は金曜日の午後8時40分頃に数ドル相当の SAUCE 250 を担保として預け入れ、その後 Supra のオンデマンドオラクルコントラクトに価格更新を提出し、トークンの価値を約12桁誇張しました。当時 SAUCE は約0.2 HBAR で取引されており、操作された更新は1の後ろにゼロが30個続く数値を運びました。

操作された価格が金曜日の午後8時51分にオンチェーンに到達してから数秒以内に、ウォレットはほぼ無価値な預け入れに対して約663万 USDC と3450万のラップされた HBAR を借りました。Bonzo は、約0.07ドルの HBAR 参考価格を使用して、抽出された元本を約905万ドルと評価しました。

偽の価格更新は、完全にゼロで構成された暗号署名を伴っていました。Supra の検証ツールはそれをすぐに拒否すべきでしたが、コントラクトが署名をどのようにチェックしたかの欠陥により、有効と見なされました。

これにより、攻撃者は Supra の正規の署名者からの承認なしに価格を提出することができました。簡単に言えば、攻撃者は Supra の暗号化を破ったり、署名キーを盗んだりしたわけではありません。むしろ、検証ツールに明らかに無効な更新を受け入れさせる方法を見つけました。

Bonzo は、Supra が問題を認識し、影響を受けた検証ツールコントラクトに修正をデプロイしたと述べました。「この修正により、コントラクトの動作を検査できるようになり、メカニズムを説明することができました」と Bonzo チームは書いています。

悪い価格が有効だった間、2番目のウォレットが約100万ドルを借り入れ、その後チームに連絡し、自身をホワイトハットレスポンダーと名乗り、資金を返還する意向であると述べました。Bonzo は、その金額をヘッドラインの数字から除外し、そうでなければ合計は約1006万ドルになるところでした。

オンチェーン調査員の Specter が、Bonzo がエクスプロイトの発生源を確認する前に、Hedera から Ethereum への不正な資金移動を最初に特定しました。正規のオラクル更新により、金曜日の午後9時36分に SAUCE の価格が回復し、Bonzo は5分後にレンディングプールを一時停止しました。

このインシデントは、仮想通貨エクスプロイトにとって厳しい年を延長するものであり、Immunefi によると、2026年前半には記録的な207件のインシデントで約9億7200万ドルが失われました。また、影響を受けたアプリケーションのコアコントラクトの外側にあるインフラストラクチャの障害、秘密鍵の侵害、特権アクセスの弱点への広範なシフトにも適合しており、これは Gravity Bridge の鍵の侵害と Kelp DAO のブリッジ検証エクスプロイトの疑いで見られたダイナミクスです。

免責事項：The Block は、ニュース、リサーチ、データを提供する独立したメディアアウトレットです。2023年11月現在、Foresight Ventures は The Block の過半数投資家です。Foresight Ventures は、仮想通貨分野の他の企業に投資しています。仮想通貨取引所の Bitget は、Foresight Ventures のアンカー LP です。The Block は、仮想通貨業界に関する客観的で影響力のあるタイムリーな情報を提供するために、独立して運営を続けています。現在の財務開示はこちらです。

© 2026 The Block. All Rights Reserved. 本記事は情報提供のみを目的として提供されています。法的、税務上、投資上、財務上、またはその他のアドバイスとして提供または意図されるものではありません。